CVE-2026-103039: RCE in Gravity Forms WordPress

RCE critica Gravity Forms via PHP Injection, CVSS 9,8. Aggiorna subito.

Il CVE-2026-103039 è una vulnerabilità critica di PHP Object Injection nel plugin Gravity Forms per WordPress. La falla è in GFFormsModel::create_post(), che passa valori non filtrati a maybe_unserialize() globale anziché al metodo hardened GFCommon::maybe_unserialize() di v3.1.1. Colpisce versioni fino a 3.1.2, permettendo ad attaccanti non autenticati di iniettare oggetti PHP nei post meta via campi List con content template.

Punteggio CVSS 9,8. Non ci sono gadget chain nel plugin stesso, ma altri plugin o temi potrebbero fornirle per RCE. Se il campo è mappato a _wp_page_template, WordPress fornisce internamente la catena: validate_file() accetta non-scalari, WP_Theme::__toString() risolve percorsi controllati, e su host con PEAR e register_argc_argv abilitato questo produce RCE. I segnali social indicano consapevolezza nelle ultime 24 ore.

Aggiornare subito Gravity Forms oltre 3.1.2. Verificare l'inventario WordPress e prioritizzare il patching. Se impossibile aggiornare, disabilitare campi List da dati non attendibili oppure limitare accesso via autenticazione WordPress. Monitorare log per rilevare tentativi di iniezione di oggetti sospetti.

In sintesi

Cosa: PHP Object Injection nel plugin Gravity Forms per WordPress tramite la funzione GFFormsModel::create_post(), che usa maybe_unserialize() non filtrato anziché il metodo hardened GFCommon::maybe_unserialize(), colpendo campi personalizzati di tipo List.
Gravità: CVSS 9,8 Critical. RCE possibile se gadget chain disponibile da altri plugin o temi; garantita se custom field mappato a _wp_page_template su host con PEAR leggibile e register_argc_argv abilitato.
Versioni interessate: Gravity Forms per WordPress, tutte le versioni fino a e inclusa 3.1.2.
Correzione: Aggiornare Gravity Forms a versione successiva a 3.1.2 che implementa GFCommon::maybe_unserialize() hardened su tutti i percorsi di deserializzazione.
Stato: Pubblicato NVD il 2026-10-30. Patch disponibile. Segnali di consapevolezza nei social media nelle ultime 24 ore. Nessun exploit pubblico confermato (segnale GitHub assente).
Azione: Prioritizzare aggiornamento immediato di Gravity Forms. Se non subito fattibile, disabilitare campi List da dati non attendibili o restringere accesso via WordPress authentication. Monitorare log per iniezioni di oggetti sospette.

Fonti: NVD, CVE-2026-103039

← Tutti gli articoli